- Ranjivosti u Subaru STARLINK-u omogućavale su daljinski pristup i kontrolu funkcija (otključavanje, paljenje) te dobivanje povijesti lokacije.
- Kvar administrativnog portala: resetiranje lozinke bez potvrde i provjere sigurnosnih pitanja na klijentu, što olakšava pristup zaposlenicima.
- Izloženi podaci: godišnja zaliha lokacija, adresa, kontakata u hitnim slučajevima i djelomičnih bankovnih podataka, što povećava rizik od krađe i narušavanja privatnosti.
- Subaru je problem riješio za manje od 24 sata, ali zaposlenici zadržavaju pristup evidenciji; to odražava rizike u cijeloj industriji i potrebu za propisima i najboljim praksama.
Nedavne istrage otkrile su ozbiljne ranjivosti u Subaruovom sustavu povezanih vozila STARLINK , što hakerima omogućuje daljinski pristup i ugrožavanje sigurnosti milijuna vozila u Sjedinjenim Državama, Kanadi i Japanu. Ovi sigurnosni nedostaci izazvali su zabrinutost zbog inherentnih rizika povezanih vozila, koja prikupljaju ogromne količine osjetljivih podataka i oslanjaju se na tehnologiju za rad mnogih svojih funkcija.
Istraživači Sam Curry i Shubham Shah otkrili su da Subaruov sustav pati od višestrukih ranjivosti koje su omogućavale daljinsko upravljanje vozilima i pristup osjetljivim informacijama, poput detaljne povijesti lokacija za godinu dana. Također su mogli otključati vrata, manipulirati paljenjem, pa čak i mijenjati korisničke postavke. Ovo otkriće naglašava prijetnje privatnosti i sigurnosti povezane s digitalizacijom automobila.
Kako su ranjivosti identificirane?
Analiza je započela kada je Curry odlučio istražiti povezani sustav Subaru Impreze iz 2023. godine kupljenog za njegovu majku. Tijekom istrage, on i njegov kolega otkrili su administrativni portal zaposlenika Subarua koji je sadržavao ozbiljne sigurnosne propuste. Portal je omogućavao resetiranje lozinki bez potvrde , jednostavnim poznavanjem adrese e-pošte zaposlenika. Nadalje, sigurnosna pitanja su se provjeravala lokalno u korisnikovom pregledniku, a ne na Subaruovim poslužiteljima, što je olakšavalo zaobilaženje ovog sloja zaštite.
Nakon što su dobili pristup računu zaposlenika, istražitelji su pokazali da mogu pretraživati vozila koristeći osnovne podatke poput prezimena, poštanskog broja, adrese e-pošte, telefonskog broja ili registarske pločice. Odatle su mogli manipulirati funkcijama vozila, pristupiti njegovoj povijesti lokacija i dobiti osobne podatke vlasnika, uključujući adrese, kontakte u hitnim slučajevima i djelomične podatke o naplati.
Utjecaj ranjivosti
Rizici povezani s ovim kvarom su značajni. Dostupni podaci uključuju:
- Puna godina povijesti lokacije, s preciznim koordinatama koje se ažuriraju svaki put kada se auto pokrene.
- Osobni podaci kao što su imena, adrese, kontakti za hitne slučajeve i djelomične bankovne podatke.
- Funkcije vozila kao što su otključavanje vrata, daljinsko paljenje i aktiviranje sirene.
Ove ranjivosti ne samo da su ugrozile privatnost vlasnika vozila, već su i otvorile vrata krađi, uznemiravanju, pa čak i sabotaži . Istraživači su naglasili da ove povrede stvaraju zabrinjavajuću sliku kibernetičke sigurnosti u automobilskoj industriji u cjelini.
Subaruov odgovor
Subaru je upozoren na ove ranjivosti u studenom 2024. Na njihovu zaslugu, tvrtka je brzo reagirala, zakrpavši sustav za manje od 24 sata nakon što je obaviještena. Glasnogovornik Subarua izjavio je da „nijedan podatak o kupcima nije pristupljen bez ovlaštenja“ te da su sustavi poboljšani kontinuiranim praćenjem kako bi se spriječile buduće prijetnje.
Međutim, istraživači su primijetili da, unatoč zakrpama, zaposlenici Subarua i dalje imaju pristup značajki koja im omogućuje pregled povijesti lokacija u poslovne svrhe, što dugoročno izaziva zabrinutost za privatnost.
Rasprostranjen problem u industriji
Prema istraživačima, slučaj Subarua nije jedinstven. Slične ranjivosti otkrivene su u vozilima drugih marki, kao što su Acura, Honda, Hyundai i Toyota. Nedostatak robusnosti u sustavima zaštite podataka ponavljajući je problem u industriji, gdje proizvođači često daju prioritet funkcionalnosti nad sigurnošću.
Izvješće Mozille iz 2023. klasificiralo je moderne automobile kao „noćnu moru privatnosti“, ističući da 92% proizvođača ne nudi korisnicima kontrolu nad prikupljenim podacima , a 84% zadržava pravo dijeljenja ili prodaje tih informacija. Ova razina izloženosti naglašava hitnu potrebu za strožim propisima i standardima kibernetičke sigurnosti u automobilskom sektoru.
U svom blogu, Curry je naglasio inherentnu ranjivost sustava koji zaposlenicima omogućuju pristup osjetljivim informacijama bez odgovarajućih ograničenja. „Automobilska industrija uvelike se oslanja na povjerenje, ali joj nedostaju potrebne barijere za zaštitu podataka potrošača “, komentirao je.
Ovaj incident naglašava važnost provedbe snažnih sigurnosnih mjera i služi kao podsjetnik korisnicima da budu svjesni rizika povezanih s povezivošću u automobilima.
